Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO · Stand 24.10.2026 · Version 2026-10-24

Entwurf, vor dem Livegang anwaltlich zu prüfen. Dieser Vertrag wird mit der Zustimmung zu den AGB zwischen dem Kunden (Verantwortlicher) und HB & M UG (haftungsbeschränkt) (Auftragsverarbeiter) geschlossen.

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies für die Leistungen von Blueberry Brands nach den AGB erforderlich ist. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Nicht Gegenstand dieses Vertrags ist die Nischenanalyse öffentlicher Profile; dafür ist der Auftragsverarbeiter selbst verantwortlich (siehe Datenschutzerklärung, Ziffer 11).

§ 2 Art, Zweck, Daten und Betroffene

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht gezielt in die Software einbringt.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen und Freigaben in der Software sowie diese Vereinbarung gelten als Weisung.
2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
3. Weisungsberechtigt sind die Inhaber des Kundenkontos. Weisungen außerhalb der Software erfolgen in Textform an datenschutz@blueberrybrands.de.

§ 4 Pflichten des Auftragsverarbeiters

1. Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
2. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
3. Er unterstützt den Verantwortlichen bei Anfragen Betroffener, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörden (Art. 32 bis 36 DSGVO).
4. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Die Daten werden nicht zum Training von KI-Modellen und nicht für eigene Zwecke verwendet.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Die jeweils aktuelle Liste steht auch auf der Seite Dienstleister.
2. Der Verantwortliche genehmigt außerdem vorab die in Anlage 2 genannten Ersatzanbieter für KI-Funktionen. Der Auftragsverarbeiter setzt einen Ersatzanbieter erst ein, nachdem er mit ihm einen Vertrag nach Art. 28 Abs. 4 DSGVO (bei Sitz außerhalb der EU mit EU-Standardvertragsklauseln) geschlossen hat, und teilt den Wechsel nach Abs. 3 mit; ist der Wechsel wegen eines Ausfalls dringend, erfolgt die Mitteilung unverzüglich danach.
3. Andere neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
4. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO).

§ 6 Drittländer

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Anbieter) oder von EU-Standardvertragsklauseln.

§ 7 Kontrollen

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten vorrangig durch aktuelle Dokumentation, Berichte oder Zertifikate (auch seiner Unterauftragsverarbeiter) nach. Darüber hinaus kann der Verantwortliche nach Abstimmung, mit mindestens 14 Tagen Vorankündigung, zu Geschäftszeiten und höchstens einmal in zwölf Monaten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber ist. Den Aufwand für weitere Kontrollen kann der Auftragsverarbeiter angemessen berechnen.

§ 8 Löschung und Rückgabe

Der Verantwortliche kann Daten jederzeit in der Software löschen, Kanäle trennen und sein Konto vollständig löschen. Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter die Daten nach 30 Tagen, soweit keine Pflicht zur Aufbewahrung besteht. Vor Vertragsende kann der Verantwortliche Inhalte exportieren (§ 13 der AGB).

Unabhängig davon gelten die Speicherfristen der Plattformen: Daten aus der YouTube-API und dem Google Unternehmensprofil (z. B. Kommentare, Bewertungen, Tageskennzahlen) werden nach höchstens 30 Tagen, Daten aus der LinkedIn-API nach höchstens 48 Stunden automatisch gelöscht oder durch einen neuen Abruf ersetzt.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht diese Vereinbarung den AGB in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Rechenzentren der Unterauftragsverarbeiter mit Zutrittskontrollen; Datenbank und Speicher in Frankfurt am Main (EU).
• Anmeldung per Einmal-Link an die E-Mail-Adresse, Sitzungen über verschlüsselt übertragene Cookies; administrative Zugänge zu Hosting, Datenbank und Betreiberbereich nur für namentlich festgelegte Personen.
• Mandantentrennung auf Datenbankebene (Row Level Security): jeder Kunde sieht ausschließlich eigene Daten; Abrechnungsfelder sind gegen Änderung durch Kunden technisch gesperrt.
• Zugangsschlüssel zu den Plattformen und Bankdaten von Partnern werden mit AES-256-GCM verschlüsselt gespeichert.
• Dateien (Videos) liegen in einem nicht öffentlichen Speicher; Plattformen erhalten nur zeitlich begrenzte, signierte Links.
• Partner sehen vermittelte Kunden nur pseudonymisiert.

Integrität

• Übertragung ausschließlich verschlüsselt (TLS 1.2 oder höher).
• Eingehende Ereignisse von Zahlungsanbieter und Plattformen werden per Signatur geprüft; Dubletten werden technisch ausgeschlossen.
• Veröffentlichungen und Antworten erfolgen nur nach Freigabe durch den Kunden; jeder Vorgang wird mit Zeitpunkt und Status gespeichert.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung der Datenbank durch den Hostinganbieter nach dessen Tarif; Wiederherstellung im Notfall.
• Überwachung der Hintergrundprozesse mit Anzeige ausbleibender Läufe im Betreiberbereich.

Überprüfung und Organisation

• Automatisierte Tests vor jeder Veröffentlichung neuer Versionen; Sicherheitshinweise der Datenbank werden regelmäßig geprüft.
• Datensparsamkeit: an KI-Dienste nur die für die jeweilige Funktion nötigen Inhalte, keine Zugangsschlüssel; Kommentare und Nachrichten nur an die in Anlage 2 genannten KI-Dienstleister.
• Löschkonzept: Trennen eines Kanals entfernt den Zugang sofort; Kontolöschung entfernt alle Daten; automatische Löschung 30 Tage nach Vertragsende; täglicher Löschlauf für Plattformdaten mit kürzerer Frist (YouTube und Google 30 Tage, LinkedIn 48 Stunden).

Anlage 2: Unterauftragsverarbeiter

Vorab genehmigte Ersatzanbieter für KI-Funktionen (Einsatz erst nach Abschluss eines AV-Vertrags, § 5 Abs. 2):

• OpenAI Ireland Ltd. (Konzern OpenAI, L.L.C., USA), 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland
• Google Cloud EMEA Ltd. (Gemini über Vertex AI), 70 Sir John Rogerson's Quay, Dublin 2, Irland
• Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich

Die Plattformbetreiber (Meta, TikTok, Google, LinkedIn, Pinterest, Bluesky) sind keine Unterauftragsverarbeiter, sondern Empfänger, an die der Kunde Inhalte veröffentlicht und von denen er Daten abruft. Stripe handelt für die Zahlungsabwicklung als eigenständiger Verantwortlicher.